nach Art. 28 DSGVO
zwischen
dem Kunden — nachfolgend „Verantwortlicher" —
und
Traumwerk24 GmbH, Jakoberstr. 42, 86152 Augsburg, eingetragen im Handelsregister des Amtsgerichts Augsburg unter HRB 40030, USt-IdNr. DE367866816, vertreten durch den Geschäftsführer Udo Krier — nachfolgend „Auftragsverarbeiter" —
Stand: August 2026 · Version 2.0
Der Auftragsverarbeiter stellt dem Verantwortlichen die webbasierte Software BELARO® OS zur Verfügung. Der Verantwortliche stellt dabei Daten ein, die personenbezogene Daten enthalten können. Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO. Er gilt ergänzend zum Hauptvertrag (Abonnement BELARO® OS) und geht diesem in Fragen der Auftragsverarbeitung vor.
(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung von BELARO® OS.
(2) Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Der Vertrag endet mit dessen Beendigung; die Pflichten nach § 9 bleiben davon unberührt.
(1) Art der Verarbeitung: Erheben, Speichern, Auswerten, Anzeigen, Übermitteln an die in Anlage 2 genannten Unterauftragsverarbeiter, Exportieren und Löschen von Unternehmens- und Finanzdaten in einer cloudbasierten Software.
(2) Zweck: Analyse und Steuerung des Working Capital des Verantwortlichen — Berechnung von Liquiditätskennzahlen, Erstellung von Handlungsempfehlungen, Berichten und Prognosen.
(3) Kategorien betroffener Personen:
(4) Kategorien personenbezogener Daten:
(5) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass er solche Daten nicht in die Software einstellt.
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dokumentierter Weisungen des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Weisungen erfolgen in Textform. Die Nutzung der Funktionen von BELARO® OS durch den Verantwortlichen oder die von ihm berechtigten Nutzer gilt als Einzelweisung im Rahmen dieses Vertrags.
(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.
(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.
(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(2) Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
(1) Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mit einer Frist von vier Wochen in Textform. Der Verantwortliche kann innerhalb von zwei Wochen ab Zugang aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann jede Partei den Hauptvertrag zum Zeitpunkt der beabsichtigten Änderung kündigen.
(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses Vertrags entsprechen.
(4) Erfolgt eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, stellt der Auftragsverarbeiter geeignete Garantien nach Art. 46 DSGVO sicher, insbesondere durch Standardvertragsklauseln der Europäischen Kommission.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO. In BELARO® OS stehen dafür Export-, Auskunfts- und Löschfunktionen bereit.
(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform.
(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen.
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Meldepflichten nach Art. 33 und 34 DSGVO.
(1) Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter die im Auftrag verarbeiteten Daten für 30 Tage zum Export in einem maschinenlesbaren Format bereit.
(2) Nach Ablauf dieser Frist löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten vollständig. Die Löschung wird protokolliert; das Protokoll enthält Zeitpunkt und Umfang, jedoch keine personenbezogenen Daten.
(3) Der Verantwortliche kann die Löschung jederzeit vorzeitig verlangen. Der Auftragsverarbeiter führt sie unverzüglich aus.
(4) Für die im Auftrag verarbeiteten Daten bestehen beim Auftragsverarbeiter keine gesetzlichen Aufbewahrungspflichten. Unberührt bleibt die Aufbewahrung der eigenen Rechnungsbelege des Auftragsverarbeiters aus dessen eigener steuerlicher Buchführungspflicht nach § 147 AO und § 257 HGB; diese enthalten keine im Auftrag verarbeiteten Daten.
(5) In aggregierte, nicht personenbezogene Branchenkennzahlen eingeflossene Werte bleiben von der Löschung unberührt. Ein Rückschluss auf den Verantwortlichen oder einzelne Personen ist daraus nicht möglich.
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Dazu gehören die Dokumentation der technischen und organisatorischen Maßnahmen und das Löschkonzept.
(2) Der Verantwortliche kann Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Überprüfungen sind mit angemessener Vorlaufzeit anzukündigen, auf das erforderliche Maß zu beschränken und dürfen den Betrieb nicht unangemessen beeinträchtigen.
Für die Haftung gelten die Regelungen des Hauptvertrags. Art. 82 DSGVO bleibt unberührt.
(1) Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Abbedingung dieses Formerfordernisses.
(2) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Es gilt das Recht der Bundesrepublik Deutschland.
Zutrittskontrolle: Die Server werden bei der Hetzner Online GmbH in Rechenzentren in Deutschland betrieben. Der physische Zutritt unterliegt den Zutrittskontrollen des Rechenzentrumsbetreibers.
Zugangskontrolle: Der Zugang zur Anwendung erfolgt ausschließlich über passwortgeschützte Benutzerkonten. Passwörter werden als bcrypt-Hash gespeichert, niemals im Klartext. Sitzungen werden über signierte Cookies verwaltet.
Zugriffskontrolle: Ein Rollenkonzept unterscheidet zwischen Kundennutzern, Beratern und Administratoren. Jede Datenabfrage ist mandantenbezogen begrenzt; ein Zugriff auf Daten anderer Verantwortlicher ist ausgeschlossen. Schreibende Vorgänge sind gegen websiteübergreifende Anfragefälschung geschützt. Zugriffe von Administratoren auf gesperrte Mandanten werden protokolliert.
Trennungskontrolle: Die Daten verschiedener Verantwortlicher werden logisch getrennt verarbeitet. Die Trennung wird durch automatisierte Prüfungen überwacht.
Weitergabekontrolle: Sämtliche Verbindungen zur Anwendung sind transportverschlüsselt (TLS). Zertifikate werden automatisch verwaltet und erneuert.
Eingabekontrolle: Änderungen an Datensätzen werden mit Zeitstempel erfasst. Löschvorgänge werden in einem Protokoll ohne personenbezogene Daten dokumentiert.
Verfügbarkeitskontrolle: Die Datenbank wird täglich gesichert. Sicherungen werden mit Prüfsumme abgelegt und rotiert. Die Wiederherstellbarkeit wird geprüft.
Rasche Wiederherstellbarkeit: Ein dokumentiertes Wiederherstellungsverfahren steht bereit.
Datenschutz durch Technikgestaltung: IP-Adressen werden ausschließlich als gesalzener Hashwert gespeichert. Hochgeladene Finanzdokumente werden bei der KI-gestützten Auswertung nicht dauerhaft beim KI-Dienstleister gespeichert. Demonstrationsdaten sind schreibgeschützt.
Auftragskontrolle: Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Bei Verarbeitung außerhalb der EU bestehen Standardvertragsklauseln.
Überprüfung: Die referentielle Integrität der Datenbank, die Mandantentrennung und die Vollständigkeit der Löschvorgänge werden durch automatisierte Prüfungen laufend kontrolliert.
Anthropic PBC verwendet die übermittelten Daten vertraglich ausgeschlossen nicht zum Training von Modellen und speichert hochgeladene Dokumente nicht dauerhaft.
Stand: August 2026. Änderungen werden dem Verantwortlichen nach § 6 Absatz 2 mitgeteilt.
Dieser Vertrag wird mit der Bestätigung im Bestellvorgang von BELARO® OS in Textform geschlossen. Der Verantwortliche kann ihn jederzeit im Kundenkonto abrufen und herunterladen.
Traumwerk24 GmbH · Jakoberstr. 42 · 86152 Augsburg · info@belaro.eu
BELARO® · Eingetragene Wortmarke 30 2025 220 866